CVE-2025-56605

XSS (Vulnerabilità di Cross-Site Scripting)

CVE-2025-56605 — XSS riflesso in Event Management System 1.0

Descrizione:
Esiste una vulnerabilità di Cross-Site Scripting (XSS) riflesso in register.php di PuneethReddyHC/event-management 1.0.
Il parametro POST mobile viene convalidato in modo inadeguato e riflesso nella risposta, consentendo l'iniezione di codice JavaScript arbitrario.

ID CVE: CVE-2025-56605
Scoperto da: Isroil Mustafoqulov
Tipo di vulnerabilità: XSS riflesso
Vettore d'attacco: Remoto

Passaggi per riprodurre (solo locale):

1. Clonare il progetto ed eseguirlo localmente.
2. Inviare una richiesta POST appositamente creata a backend/register.php con un payload dannoso nel parametro mobile.
3. Il payload viene riflesso senza sanitizzazione nella risposta.

⚠️ I payload sono intenzionalmente omessi. Non tentare lo sfruttamento su sistemi di cui non si è proprietari.

Mitigazione:
Sanitizza/codifica l'input utente prima dell'output. Esempio in PHP:

echo htmlspecialchars($_POST['mobile'], ENT_QUOTES, 'UTF-8');